平成29年度 秋期 ITパスポート 問57（テクノロジ）

【リスクへの対処の流れ】

ISMSでは、情報セキュリティのリスクに、次の流れで対処します。

・リスク特定：どのようなリスクがあるかを洗い出す

・リスク分析：特定したリスクについて、起こりやすさと影響の大きさから、リスクのレベルを決める

・リスク評価：リスクのレベルを、あらかじめ定めた基準と比べ、対応が必要かを判断して優先順位を付ける

・リスク対応：評価の結果に基づいて、リスクをどう扱うか（低減、回避、移転、保有など）を決めて実施する

分析して大きさが分からなければ評価はできず、評価して優先順位が決まらなければ、どのリスクにどう対応するかを決められません。

【選択肢の検討】

ア：リスク対応は、分析と評価の後に行うものです。最初には行いません。

イ：リスクの評価は、分析でリスクの大きさを決めた後に行うものです。

ウ：リスク対応は、評価で対応の要否や優先順位を決めた後に行うものです。

エ：リスク分析 → リスク評価 → リスク対応の流れなので、適切です。

よって、正解は選択肢エです。